الرؤى وإجراءات النتائج المخصصة

حتى قائمة طويلة من الاكتشافات المطبّعة تظل صعبة التحويل إلى إجراءات. يضيف Security Hub أداتين لتحويل هذه القائمة إلى إجراءات مركّزة: insights لتجميع الاكتشافات المرتبطة، وcustom actions التي تتيح تشغيل مهام سير العمل من خلال اكتشافات محددة.

إن insight في Security Hub هو تجميع محفوظ للاكتشافات، يحدده عامل تصفية وسمّة "group by". فعلى سبيل المثال، يمكن لـ insight تجميع الاكتشافات النشطة حسب المورد، لإظهار الموارد التي تضم أكبر عدد من المشكلات. تكشف Insights الأنماط التي قد تخفيها الاكتشافات الفردية.

يأتي Security Hub مزودًا بـ managed insights جاهزة، مثل "AWS resources with the most findings" أو "S3 buckets with public access". وتوفر هذه التجميعات المُعدّة مسبقًا قيمة فورية، إذ تبرز النقاط الحرجة من دون الحاجة إلى تعريف أي شيء من جانبكم.

يمكنكم أيضًا إنشاء custom insights مخصّصة لمخاوفكم، مع التصفية باستخدام أي حقل من حقول ASFF والتجميع حسب حقل آخر. فقد ينشئ فريق ما insight للاكتشافات ذات الشدة High مجمّعة حسب الحساب، لتوجيه الانتباه بدقة إلى موضع الخطر.

يحوّل التجميع الضوضاء إلى أولويات. فبدلًا من التمرير عبر آلاف الاكتشافات، يخبركم insight بأن "هذه الموارد الخمسة مسؤولة عن معظم المخاطر". ويوجّه ذلك المعالجة نحو الإصلاحات الأعلى أثرًا، ويدعم تحديد الأولويات الذي يركّز عليه الامتحان.

إن custom action في Security Hub هو مشغّل مُسمّى ترفقونه بالاكتشافات. عندما يحدد المحلل اكتشافات ويختار ذلك الإجراء، يصدر Security Hub حدثًا إلى EventBridge. وهذا هو الجسر بين الفرز البشري والاستجابة المؤتمتة.

لكل custom action معرّف ARN خاص به، وينتج حدث EventBridge يحمل الاكتشافات المحددة. ثم توجّه قاعدة EventBridge هذا الحدث إلى هدف، مثل دالة Lambda أو مهمة سير عمل في Step Functions أو تكامل لإدارة التذاكر، من أجل المعالجة أو التصعيد.

تتيح custom actions استجابة يبدأها المحلل؛ إذ يراجع الإنسان الحالة ثم ينقر لبدء المعالجة. أما للاستجابة المؤتمتة بالكامل، فتتم مطابقة الاكتشافات مباشرةً باستخدام قواعد EventBridge، بحيث يحدث الإجراء من دون تدخل شخص. إن معرفة النمطين تساعدكم على اختيار الأنسب.

يوفر Security Hub أيضًا automation rules تحدّث الاكتشافات تلقائيًا، مثل رفع الشدة أو تغيير حالة سير العمل عند تحقق المعايير. تعمل هذه القواعد على تنقيح تدفق الاكتشافات قبل وصوله إلى المحلل أو إلى أي أتمتة لاحقة.

تعمل قواعد الأتمتة عندما يطابق الاكتشاف criteria محددة في حقول ASFF، ثم تطبق تغييرات مثل ضبط الشدة أو تحديث حالة سير العمل أو إضافة ملاحظة. فعلى سبيل المثال، يمكن لقاعدة أن تكتم تلقائيًا الاكتشافات منخفضة الشدة الواردة من حساب اختبار معروف. وبهذا تُنقّح التدفق باستمرار قبل أن يراه المحللون أو الأتمتة اللاحقة.

للاختيار بين النمطين، اسألوا ما إذا كان ينبغي للإنسان أن يراجع الحالة أولًا. تناسب Custom actions الاستجابات التي تتطلب حكمًا ويبدأها المحلل، بينما تناسب direct EventBridge rules الاكتشافات الواضحة وعالية الحجم التي ينبغي معالجتها فورًا من دون انتظار. وتجمع فرق كثيرة بين النمطين: فتعالج تلقائيًا الحالات الواضحة، وتوجّه الحالات الملتبسة إلى المحللين عبر custom actions.

اربطوا الاكتشافات بالاستجابة.

تجمع insights في Security Hub الاكتشافات حسب عامل تصفية وسمّة (مدارة أو مخصّصة) لإظهار مواضع تركّز المخاطر. وتتيح custom actions للمحلل إرسال اكتشافات محددة إلى EventBridge للاستجابة، بينما تتيح قواعد EventBridge المباشرة المعالجة التلقائية بالكامل، وتحدّث automation rules الاكتشافات تلقائيًا. وتحول هذه الأدوات مجتمعة الاكتشافات المجمّعة إلى مهام سير عمل.